Кампания началась в июне и остаётся активной до сих пор. Её цель - испаноязычные сотрудники международных компаний. Злоумышленники рассылают письма на испанском языке с многоэтапной вредоносной нагрузкой.
Описание
Письма приходят в основном с итальянского бесплатного почтового сервиса. Отправители используют убедительные предлоги: поддельные счета за услуги и уведомления о судебных разбирательствах. Такие темы рассчитаны на работников финансовой и государственной сфер. Получателю предлагают перейти по ссылке, и это запускает заражение.
Атака идёт по многоэтапной схеме. По данным Fortra Intelligence and Research Experts (FIRE), сначала на компьютер попадает файл-приложение формата HTA (приложение на основе HTML, которое система воспринимает как исполняемую программу). Затем он собирает сведения о заражённой машине и её базовой системе ввода-вывода. Такая разведка помогает атакующим понять, на какую систему они попали.
После сбора информации злоумышленники решают, какую нагрузку применить дальше. Промежуточный компонент скрытно доставляет архив с программой. Пользователь ничего не замечает и не подтверждает загрузку. Финальный файл - самораспаковывающийся архив, замаскированный под установщик браузера Firefox.
Цель первого этапа - кража локальных данных. Программа ищет учётные данные и другие секреты на машине. Позже набор задач может расшириться. Многоэтапная схема позволяет подобрать нагрузку под конкретную систему.
Собранные сведения включают версию операционной системы, данные базовой системы ввода-вывода, имя пользователя и перечень установленных программ. Эти данные помогают атакующим оценить ценность машины. На их основе выбирается дальнейшая тактика. Чем больше информации, тем точнее подбирается способ развития атаки.
Форматы вроде HTA считаются устаревшей техникой. Тем не менее нужный системный компонент остаётся почти на всех машинах с Windows. Поэтому злоумышленники продолжают им пользоваться. К тому же такие файлы имеют широкий доступ к системе, что удобно для первичной разведки.
Ключевая особенность кампании - сочетание нескольких приёмов обхода защиты. Окно запуска отводится далеко за пределы видимой области экрана. Имена файлов генерируются случайно для каждого запроса. Исполняемые файлы пересобираются так, что их цифровые отпечатки меняются от образца к образцу. Поэтому сигнатурные антивирусы не успевают их распознавать.
Отдельная проблема - обход почтовых фильтров. Письма с итальянского сервиса помечаются как безопасные и попадают прямо во входящие. Антиспам их не блокирует. Как следствие, у пользователя не возникает лишних подозрений.
Тексты писем, элементы интерфейса и комментарии в коде написаны на испанском. Это говорит о намеренном выборе аудитории, а не о случайном совпадении. При этом на промежуточных страницах встречаются следы португальского языка. Такое смешение указывает на переиспользование шаблонов из более ранних кампаний против португалоязычных регионов.
Инфраструктура распределена по разным странам. Почтовые аккаунты созданы на итальянском сервисе, серверы доставки размещены в США. Кроме того, часть ссылок проходит через сервисы сокращения адресов. Такая география усложняет отслеживание и даёт злоумышленникам время на реакцию.
Получение и обслуживание итальянских почтовых аккаунтов требует подтверждения по телефону. Плюс нужна поддержка многоэтапной инфраструктуры. Всё это требует заметных ресурсов. Значит, за кампанией стоит финансово мотивированная группа, а не одиночка.
Образцы пересобираются еженедельно. Это поддерживает их незаметность для базовых защитных решений. Атакующие, судя по всему, следят за уровнем обнаружения на публичных сервисах проверки файлов. Такой подход говорит о зрелости группы.
Потенциальный ущерб зависит от того, что атакующие решат загрузить дальше. Многоэтапная схема допускает замену финальной программы. Вместо кражи данных это могут быть программы-вымогатели. В первую очередь рискуют компании с доступом к персональным данным клиентов.
Отдельно стоит учитывать косвенные потери. Простой в работе и восстановление систем стоят дорого. Часть данных может быть утеряна безвозвратно. Репутация компании при этом страдает надолго.
Для организаций в регулируемых сферах последствия серьёзнее. Утечка затрагивает нормы о защите персональных данных. В Испании и Бразилии действуют строгие требования к обработке информации. Их нарушение ведёт к крупным штрафам. Кроме того, страдает репутация перед клиентами и партнёрами.
Обнаружение такой активности затруднено. Обычные антивирусы и почтовые шлюзы не видят угрозу. Если фильтры не настроены на испанский язык, подозрительные письма проходят незамеченными. Без анализа поведения системы атака остаётся вне поля зрения защитных средств.
Защита требует нескольких шагов. Прежде всего стоит ограничить запуск встроенных компонентов Windows, которые обрабатывают файлы-приложения HTML. Полезно следить за подозрительными письмами на испанском языке от внешних отправителей. Отдельное внимание уделяют обучению сотрудников. Легитимные счета и судебные уведомления редко приходят ссылкой от незнакомого адресата.
Злоумышленники активно поддерживают кампанию. Они регулярно обновляют образцы и меняют предлоги. Перечисленные признаки указывают на организованную группу с ресурсами и пониманием культурных особенностей жертв. Организациям, работающим с испаноязычной аудиторией, стоит отнестись к этой угрозе как к целенаправленной. Отдельным компаниям имеет смысл обмениваться данными об угрозе с коллегами по отрасли. Совместное наблюдение помогает быстрее выявлять новые варианты.
Индикаторы компрометации
